🇰🇷 한글 설명
snowflake-connector-net의 2.1.2 버전부터 4.4.1 미만 버전에서 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션 취약점이 발견되었습니다. Linux 및 macOS 환경에서 Easy Logging 기능 사용 시, 설정 파일의 소유자 일치 여부를 제대로 검증하지 못해 로컬 공격자가 로그 설정 및 출력 위치를 조작할 수 있습니다.
💡 쉬운 설명
프로그램이 설정 파일을 확인하는 순간과 실제로 사용하는 순간 사이에 틈이 생겨 발생하는 보안 문제입니다. 이를 통해 공격자가 로그 기록 방식이나 위치를 몰래 바꿔치기할 수 있습니다.
🇺🇸 원문 (English)
snowflake-connector-net is the Snowflake Connector for .NET. Versions starting from 2.1.2 to before 4.4.1, are vulnerable to a Time-of-Check to Time-of-Use (TOCTOU) race condition. When using the Easy Logging feature on Linux and macOS, the Connector reads logging configuration from a user-provided file. On Linux and macOS, the Connector verifies that the configuration file can be written to only by its owner. That check was vulnerable to a TOCTOU race condition and failed to verify that the file owner matches the user running the Connector. This could allow a local attacker with write access to the configuration file or the directory containing it to overwrite the configuration and gain control over logging level and output location. This issue has been patched in version 4.4.1.
📍 영향받는 시스템
snowflake-connector-net 2.1.2 ~ 4.4.0 버전 (Linux 및 macOS 환경)
⚔️ 공격 벡터
로컬 공격자가 설정 파일 또는 해당 디렉토리에 쓰기 권한을 이용해 파일 소유권을 조작하는 레이스 컨디션 공격
🛡️ 대응 방법
snowflake-connector-net을 4.4.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 snowflake.data.connector의 버전이 4.4.1 미만인지 확인하십시오.
dotnet list package | grep snowflake.data.connector